《深入解析入侵检测系统的分类》
一、基于数据源的分类
1、基于主机的入侵检测系统（HIDS）
- HIDS主要关注单个主机的系统活动，它通过在主机系统上安装代理软件来实现检测功能，这些代理可以监控主机上的各种系统资源，如文件系统、系统日志、进程活动等，它可以检测文件的完整性，当有未经授权的修改发生时，如恶意软件试图替换系统关键文件或者篡改用户数据文件，HIDS能够及时发现，在监控系统日志方面，HIDS可以分析登录尝试、命令执行等日志信息，识别异常的登录模式，如短时间内多次失败登录后突然成功登录，这可能是暴力破解后的恶意登录行为，对于进程活动的监控，HIDS能够检测到进程的异常启动、终止或者内存使用异常情况，一个恶意进程可能会在后台偷偷运行，占用大量内存并进行数据窃取，HIDS可以通过对比正常进程的行为模式来发现这种异常进程。
- 这种类型的入侵检测系统的优点在于它能够提供非常详细的主机相关信息，对于特定主机的针对性攻击有很好的检测能力，它可以深入到主机内部的各种操作层面，不受网络环境的影响，即使在网络连接不稳定或者复杂的网络拓扑情况下，仍然能够有效地工作，它也有局限性，需要在每个被保护的主机上安装代理软件，这增加了管理成本；并且如果主机数量众多，维护和更新这些代理软件会变得比较复杂。
图片来源于网络，如有侵权联系删除
2、基于网络的入侵检测系统（NIDS）
- NIDS主要是对网络流量进行监测，它通常部署在网络中的关键节点，如网关、防火墙附近等位置，以便能够捕获流经这些节点的网络数据包，NIDS可以分析网络协议，检测异常的网络连接和流量模式，它能够识别出端口扫描行为，当一个外部主机在短时间内对内部网络的多个端口进行连接尝试时，这可能是黑客在进行网络探测，寻找可利用的漏洞端口，NIDS还可以检测到恶意的网络流量，如包含恶意代码的数据包或者进行DDoS攻击时产生的异常流量洪峰，对于网络攻击中的一些常见手法，如IP欺骗，NIDS可以通过分析IP包头信息和网络流量的流向来发现异常的源IP地址使用情况。
- NIDS的优势在于它可以在不影响主机性能的情况下对整个网络进行监测，能够快速发现网络层面的攻击，并且对于大规模网络攻击有较好的预警能力，它不需要在每个主机上安装软件，管理相对集中，NIDS也存在一些问题，比如它可能无法检测到加密流量中的恶意行为，因为它无法解密流量查看其中的内容；而且在高速网络环境下，可能会出现数据包丢失或者处理不及时的情况，从而影响检测的准确性。
3、基于混合数据源的入侵检测系统
- 这种类型的入侵检测系统结合了基于主机和基于网络的数据源，它综合利用了主机系统内部的信息和网络流量信息来进行入侵检测，它可以将主机上的异常进程活动与网络连接情况进行关联分析，如果一个主机上的进程试图与一个外部的恶意IP地址建立连接，并且这个进程的行为在主机上被判定为异常，那么就可以更准确地判定为入侵行为，通过整合两种数据源，可以提高入侵检测的准确性和全面性。
- 混合数据源的入侵检测系统克服了单一数据源检测系统的部分局限性，它的实现相对复杂，需要处理来自不同数据源的大量数据，并且要解决数据融合和关联分析中的各种技术问题，如数据格式的统一、不同检测结果的综合判断等。
图片来源于网络，如有侵权联系删除
二、基于检测方法的分类
1、异常检测入侵检测系统
- 异常检测的核心思想是建立正常行为的模型，然后将实际行为与这个模型进行比较，当实际行为偏离正常模型到一定程度时，就判定为入侵行为，对于用户登录行为，可以建立一个正常登录的时间、地点、使用设备等因素的模型，如果一个用户在非常规的时间、从一个陌生的地点登录，并且使用了从未使用过的设备，那么就可能被判定为异常登录，有可能是账号被盗用后的入侵行为，异常检测可以发现未知的攻击类型，因为它不依赖于对特定攻击模式的识别，而是关注行为是否偏离正常。
- 异常检测也面临一些挑战，建立准确的正常行为模型比较困难，因为正常行为可能具有多样性和动态性，一个用户可能因为工作需要偶尔在非正常工作时间登录系统，这可能会被误判为异常行为，误报率可能相对较高，需要通过不断优化模型和设置合理的阈值来降低误报率。
2、误用检测入侵检测系统
- 误用检测是基于已知的攻击模式来进行检测的，它有一个包含各种攻击特征的知识库，当检测到的行为与知识库中的攻击特征相匹配时，就判定为入侵行为，对于SQL注入攻击，误用检测系统可以识别出包含特定SQL注入语句模式的网络请求或者数据库操作，对于缓冲区溢出攻击，它可以检测到程序在处理缓冲区时出现的符合已知溢出模式的异常行为。
图片来源于网络，如有侵权联系删除
- 误用检测的优点是检测准确性较高，对于已知攻击的检测效果非常好，它的误报率相对较低，因为它是基于明确的攻击特征进行判断的，它的缺点是无法检测到未知的攻击类型，因为它的知识库需要不断更新才能应对新出现的攻击手段，如果知识库没有及时更新，就会对新的攻击毫无防范能力。
3、基于规范的入侵检测系统
- 基于规范的入侵检测系统是依据系统或应用的安全策略规范来检测入侵行为，在一个企业的信息系统中，规定只有特定部门的用户可以访问某些敏感数据，基于规范的入侵检测系统就会监测数据访问行为，当有不符合这个访问规范的行为发生时，如其他部门的用户试图访问这些敏感数据，就判定为入侵行为，这种检测系统的重点在于确保系统按照预先定义的安全规则运行。
- 它的优点是可以根据企业或组织的特定安全需求定制检测规则，与组织的安全策略紧密结合，制定准确的规范比较困难，而且如果安全策略发生变化，需要及时更新检测规范，否则可能会出现误判或者漏判的情况。
入侵检测系统根据不同的分类标准有着多种类型，每种类型都有其各自的特点、优势和局限性，在实际的网络安全防护中，需要根据具体的需求和环境选择合适的入侵检测系统或者采用多种类型的组合来构建全面的入侵检测体系。
评论列表